CTEMは失敗していない。運用されていないだけだ

測定可能な成果を得るには、組織は特定の問いに答える継続的脅威エクスポージャー管理プログラムを必要とします。

サイバーセキュリティの世界には、組織が「何をすべきか」を示すフレームワークや規制、指令があふれています。ゼロトラスト、NIST、CIS Controls、CMMC、DORA、NIS2、そして今では継続的脅威エクスポージャー管理(CTEM)まで、いずれも貴重な指針を提供し、望ましい成果を示しています。

問題は、そのほとんどが「何を」で止まってしまうことです。「どうやって」まで説明しているものはほとんどありません。

これは批判ではありません。むしろ、そう設計されているのです。フレームワークは原則を確立し、期待事項を定義し、望ましい成果を描写します。実装のためのガイドではないのです。

結果として、セキュリティリーダーや実務担当者は、原則をプロセスに落とし込み、責任の所在を割り当て、説明責任を確立し、成功を測定する方法を自ら見出さなければなりません。こうした判断こそが、フレームワークが実際に成果をもたらすか、それとも良い意図のまま終わる「もう一つの取り組み」になるかを左右するのです。

Gartner^®のCTEMフレームワークは、スコープ設定、発見、優先順位付け、検証、動員という5つのフェーズを通じて明確なビジョンを示しています。それでもなお、これらのフェーズを理解している組織の多くが、測定可能な成果を継続的に生み出すCTEMプログラムの構築に苦戦しています。

CTEMを理解することは簡単な部分にすぎない

ほとんどのセキュリティチームは、CTEMに関する知識不足に悩んでいるわけではありません。Gartnerは各フェーズを明確に文書化しており、ベンダー各社もそれに沿ったメッセージングを構築し、CTEMの仕組みを解説するプレゼンテーションは数え切れないほど存在します。課題は、フレームワークを理解することと、それを実際に運用することがまったく別の話だという点にあります。

問われるべきは、各要素が存在するかどうかではなく、それらが連携して時間の経過とともにエクスポージャーを減らせているかどうかです。そこにギャップが生まれます。課題はCTEMを理解することではなく、CTEMを測定可能な成果を継続的に生み出す反復可能な運用モデルへと転換することなのです。

業界はこれまでフェーズに焦点を当ててきた

CTEMに関する議論の多くは、フレームワークそのものに焦点を当てています。どうやってスコープを設定するのか。どうやって発見するのか。どうやって優先順位を付けるのか。どうやって検証するのか。どうやって動員するのか。こうした問いは組織がフレームワークを理解する助けにはなりますが、同時に「CTEMを導入するとは、単に各フェーズを実行することだ」という誤った印象を生みかねません。

最も進展を遂げている組織は、これとは異なる一連の問いに焦点を当てています。

• 誰がこのプロセスを所有するのか
• 発見された事項はどのようにチーム間を移動するのか
• どうやって説明責任を確立するのか
• 修復が実際にエクスポージャーを減らしたことをどう検証するのか
• 時間の経過とともに進捗をどう測定するのか

これらは運用面の問いであり、CTEMの「取り組み」と「運用モデル」を分ける決定的な違いとなることが少なくありません。

CTEMプログラムが実際に行き詰まる場所

ほとんどのCTEMプログラムは、可視性の面で苦戦しているわけではありません。実行の面で苦戦しているのです。

多くの場合、セキュリティチームがエクスポージャーを発見する一方で、それを修正する責任を負うのはインフラ、アプリケーション、クラウド、IDの各チームです。それぞれのチームが重要な役割を担っていますが、エンドツーエンドの成果を単独で所有するチームは存在しません。結果として、エクスポージャーはチームからチームへと渡り歩くうちに、当初の文脈が薄れていきます。セキュリティチームはなぜその問題が重要なのかを理解していますが、修正を担うチームからは、キューに積まれたただのチケットの一つにしか見えないこともあるのです。

発見事項が組織の境界を越えて移動する中で、優先順位を巡って注意が奪い合われ、責任の所在は分断され、検証も一貫性を欠くようになりがちです。その結果、組織はリスクが実際に減少しているのかどうか確信を持てなくなります。

あるチームがエクスポージャーを発見し、優先順位を付け、それが重要であることを検証し、適切なグループに修復を割り当てたとしましょう。しかし、責任の所在が不明確になったり、修復が遅れたり、誰も結果を検証しなかったりすれば、そのプログラムは測定可能な形でエクスポージャーを減らせたことにはなりません。

作業をプロセスの中で動かすことと、エクスポージャーを減らすことは同じではありません。この違いは重要です。なぜなら、CTEMはより多くの発見事項を生み出すためのものではないからです。CTEMとは、組織が何が重要かを理解し、自信を持って行動し、エクスポージャーが時間とともに減少していることを証明できる、反復可能なシステムを構築することなのです。

こちらをクリックすると、運用化とは実際にどのようなものかを確認でき、自組織のCTEMのギャップを埋める方法がわかります。

この続きを話し合いませんか

CTEMを理解することは簡単な部分にすぎません。難しいのは、それを運用に落とし込むことであり、そこでほとんどの組織が苦戦しています。

組織が受動的なセキュリティから能動的なセキュリティへと移行する中で、必要とされるのは可視性だけではありません。何が重要かを継続的に検証し、修復が実際に機能したことを確認し、時間とともに攻撃されにくくなっていることを証明する能力が求められています。

ウェビナー「From Probability to Proof: The Art of the Possible with Proactive Cybersecurity」に登録し 、AIネイティブな能動的セキュリティが組織による悪用可能な攻撃経路の継続的な発見・修正・検証をどう支援し、憶測に頼ることなくレジリエンスを証明できるようにするのかをご確認ください。あわせて、反復可能なCTEM運用モデルの構築に役立つガイダンスとして、「Operationalizing CTEM: A Practical Playbook for Continuous Threat Exposure Management」プレイブックもダウンロードいただけます。